Registro dei trattamenti: chi è obbligato e come tenerlo

Il registro dei trattamenti è il documento in cui un'organizzazione elenca, per iscritto, quali dati personali tratta, perché, di chi, con chi li condivide e per quanto tempo li conserva. Lo prevede l'articolo 30 del Regolamento (UE) 2016/679, il GDPR, ed è uno degli strumenti con cui un'azienda dimostra di sapere cosa fa con i dati. In questo articolo vediamo chi è davvero obbligato, cosa deve contenere il registro e come tenerlo aggiornato senza trasformarlo in un adempimento da compilare una volta e dimenticare.

Cos'è il registro dei trattamenti

Il GDPR si regge su un principio di responsabilizzazione: chi tratta dati personali deve essere in grado di dimostrare di farlo nel rispetto delle regole. Il registro è il punto di partenza pratico di questa dimostrazione, perché costringe a mettere in fila tutti i trattamenti, uno per uno.

Il Garante per la protezione dei dati personali lo dice chiaramente nella sua pagina dedicata al registro delle attività di trattamento: la tenuta del registro non è un adempimento formale, ma parte integrante di un sistema di corretta gestione dei dati personali. Senza un elenco aggiornato dei trattamenti diventa difficile scrivere un'informativa corretta, valutare i rischi, scegliere le misure di sicurezza o rispondere a una richiesta di accesso da parte di un interessato.

Esistono due tipi di registro:

• il registro del titolare, cioè di chi decide perché e come trattare i dati (l'azienda rispetto ai propri dipendenti, clienti e fornitori);
• il registro del responsabile, cioè di chi tratta dati per conto di un altro soggetto: un consulente del lavoro, un fornitore di servizi gestiti, una software house che ospita dati dei clienti.

Molte imprese sono entrambe le cose: titolari per i propri dati, responsabili per quelli che gestiscono per i clienti.

Chi è obbligato: l'art. 30 GDPR e la deroga per le PMI

Sulla carta l'art. 30 prevede una deroga: gli obblighi di tenuta del registro non si applicano alle imprese o organizzazioni con meno di 250 dipendenti. La deroga però cade in tre casi, indicati dallo stesso paragrafo 5: quando il trattamento può presentare un rischio per i diritti e le libertà degli interessati, quando non è occasionale, oppure quando include categorie particolari di dati (come quelli sulla salute) o dati relativi a condanne penali e reati.

Nella pratica le eccezioni contano più della regola. Le FAQ del Garante sul registro delle attività di trattamento chiariscono che, sotto i 250 dipendenti, è comunque obbligato qualunque titolare o responsabile che effettui trattamenti non occasionali o che possano presentare rischi, anche non elevati. Gestire le buste paga, l'anagrafica clienti o la fatturazione è un'attività continuativa: per questo molte piccole realtà, anche con pochi dipendenti, rientrano nell'obbligo. Le stesse FAQ precisano che nella nozione di «organizzazione» rientrano anche associazioni, fondazioni e comitati.

Il Garante prevede però una semplificazione: i soggetti più piccoli possono limitare il registro alle sole attività di trattamento che fanno scattare l'obbligo. E invita comunque tutti i titolari e i responsabili, a prescindere dalle dimensioni, a dotarsene, perché è il modo più diretto per sapere cosa si sta facendo con i dati. Se la propria situazione è al limite, conviene valutarla con il proprio consulente privacy.

Vale la pena sapere che a livello europeo è in discussione una revisione del GDPR: la Commissione ha proposto di ampliare la deroga sul registro a organizzazioni di dimensioni maggiori, salvo i trattamenti ad alto rischio. Finché una modifica non è approvata ed entra in vigore, però, si applica il testo attuale dell'art. 30.

Cosa deve contenere il registro

Per il titolare, l'art. 30 indica un contenuto minimo. Il registro riporta:

• nome e dati di contatto del titolare e, se presenti, del contitolare, del rappresentante e del responsabile della protezione dei dati;
• le finalità del trattamento: il Garante suggerisce di indicarle distinte per tipologia di trattamento e di affiancare la base giuridica;
• le categorie di interessati e di dati personali, specificando sia i tipi di persone (dipendenti, clienti, fornitori) sia i tipi di dati;
• le categorie di destinatari a cui i dati sono o saranno comunicati, compresi, secondo il Garante, i responsabili e sub-responsabili;
• gli eventuali trasferimenti verso paesi fuori dall'Unione europea;
• i termini di cancellazione previsti, ove possibile, per ogni tipologia di dati: se non si può fissare un termine preciso in anticipo, si può indicare il criterio con cui si determina;
• una descrizione generale delle misure di sicurezza tecniche e organizzative adottate.

Il registro del responsabile è più snello: indica i propri dati e quelli di ciascun titolare per cui lavora, le categorie di trattamenti svolti per suo conto, gli eventuali trasferimenti extra UE e le misure di sicurezza. Il Garante raccomanda di indicare anche il riferimento all'accordo con cui il titolare ha designato il responsabile.

Nessuno vieta di aggiungere altre informazioni utili, come il sistema in cui i dati risiedono o il reparto che ne è responsabile. Per chi parte da zero, il Garante mette a disposizione un modello di registro semplificato per le PMI, organizzato per colonne.

Forma, date ed esibizione al Garante

Il registro deve avere forma scritta, anche elettronica. Le FAQ del Garante ammettono sia il formato cartaceo sia quello digitale, ma chiedono che riporti in modo verificabile la data di prima istituzione (o di creazione di ogni singola scheda) e quella dell'ultimo aggiornamento.

Non si invia al Garante in via preventiva: si tiene in azienda e si esibisce su richiesta dell'Autorità, per esempio durante un controllo. È il motivo per cui conviene che sia sempre in ordine, e non ricostruito in fretta il giorno in cui arriva una richiesta.

Come tenerlo aggiornato senza burocrazia inutile

Il Garante è netto: il registro va mantenuto costantemente aggiornato, perché il suo contenuto deve corrispondere ai trattamenti effettivamente svolti. Ogni cambiamento di finalità, di categorie di dati o di interessati va riportato subito. È qui che la maggior parte dei registri si rompe: vengono redatti con cura all'inizio e poi restano fermi mentre l'azienda cambia fornitori, strumenti e processi.

Alcune abitudini aiutano a evitarlo:

1. Un responsabile del documento. Una persona identificata che lo aggiorna e a cui gli altri reparti segnalano le novità.
2. Aggiornamenti legati agli eventi. Un nuovo software, un nuovo fornitore che riceve dati, un nuovo servizio per i clienti: ogni volta che uno di questi eventi accade, il registro va riaperto.
3. Una revisione periodica. Oltre agli aggiornamenti puntuali, una verifica completa a cadenza fissa, decisa dall'azienda, per controllare che ogni scheda descriva ancora la realtà.
4. Un collegamento con i contratti. Ogni destinatario esterno indicato nel registro dovrebbe corrispondere a un accordo che ne disciplina il ruolo. Quando quell'accordo scade o viene rinnovato, è il momento giusto per verificare che la scheda sia ancora corretta.

L'ultimo punto è il più trascurato. I fornitori che trattano dati per conto dell'azienda entrano ed escono con i loro contratti: se l'elenco dei contratti e il registro vivono in due posti diversi, prima o poi raccontano due storie diverse. Lo stesso vale per le date: uno scadenzario dei contratti aggiornato è anche il calendario naturale delle revisioni del registro.

Domande frequenti

Una piccola impresa deve tenere il registro dei trattamenti? Spesso sì. La deroga per chi ha meno di 250 dipendenti non vale se i trattamenti non sono occasionali, possono presentare un rischio per gli interessati o riguardano categorie particolari di dati o dati relativi a condanne penali e reati. Gestire con continuità i dati dei dipendenti o dei clienti fa già rientrare molte PMI nell'obbligo.

Il registro dei trattamenti va inviato al Garante? No, non va trasmesso in via preventiva. Deve però essere tenuto in forma scritta, anche elettronica, ed esibito al Garante su richiesta, per esempio in caso di controllo.

Il registro si può tenere su un foglio di calcolo? Il Garante ammette sia il formato cartaceo sia quello elettronico. Qualunque strumento si scelga, il registro deve riportare in modo verificabile la data di prima istituzione e quella dell'ultimo aggiornamento, e deve corrispondere ai trattamenti realmente svolti.

Che differenza c'è tra registro del titolare e registro del responsabile? Il titolare descrive i trattamenti che decide lui, con finalità, categorie di dati e destinatari. Il responsabile descrive i trattamenti che svolge per conto di ciascun titolare, indicando per chi lavora e il riferimento all'accordo che lo designa.

Un registro dei trattamenti resta affidabile solo se segue i contratti con chi riceve i dati: in Accordyx gli accordi con i fornitori sono archiviati con le loro scadenze e trattati con misure di protezione documentate, così ogni rinnovo diventa l'occasione per verificare il registro. → Come Accordyx protegge i dati